PyPI alerta sobre phishing a desenvolvedores

O Python Package Index (PyPI) alertou os desenvolvedores sobre uma campanha de phishing que visa roubar credenciais de login, possibilitando que atacantes adicionem malware a pacotes Python. O PyPI é o repositório oficial para a linguagem Python e hospeda diversos pacotes desenvolvidos pela comunidade.

Leia também
Trust Control amplia atuação no mercado de cyber
Parceria com a Think eleva maturidade de SI na Sertrading

Os e-mails de phishing instruem os destinatários a verificar seu endereço de e-mail sob o pretexto de “Gerenciamento de contas e procedimentos de segurança”. Um link malicioso, que contém o nome do PyPI, direciona para um domínio controlado pelos atacantes. A mensagem afirma que, se o endereço não for verificado em 72 horas, o acesso à conta será bloqueado. Campanhas similares foram registradas no final de julho.

Segundo o PyPI, não há método rápido para impedir totalmente esses ataques, exceto exigir autenticação de dois fatores (2FA) resistente a phishing. A organização toma medidas adicionais, como reportar domínios maliciosos e buscar formas de tornar o login via 2FA baseado em TOTP mais seguro contra ataques de engenharia social.

O PyPI recomenda aos desenvolvedores utilizar gerenciadores de senhas que preencham automaticamente os dados apenas para domínios confiáveis. Quando o preenchimento automático não funciona, isso deve ser considerado um alerta. Além disso, a plataforma sugere o uso de 2FA resistente a phishing, como chaves de hardware, para aumentar a proteção das contas.